White Paper ソフトウェアサプライチェーン健全性レポート 2026

本資料の概要

本資料『ソフトウェアサプライチェーン健全性レポート2026（FutureVuls Foresight Vol.2）』は、国内企業の実稼働環境にある約1.6万件のオープンソースソフトウェア（OSS）を独自分析し、公式なサポート終了（EOL）情報だけでは見えないOSSの「陳腐化」リスクの実態を明らかにするレポートである。提供元はフューチャー株式会社 Cyber Security Innovation Group（CSIG）。

主要データ（母数・出典・年付き）

• 本調査は、FutureVulsに登録された国内企業74社の実稼働サーバー環境から抽出した約1.6万件（約16,000件）のOSSコンポーネントを、2025年11月時点で分析したものである（フューチャー調べ）。
• 分析の結果、健全な状態にあるOSSは全体の51.5%（活発に活動40.6%＋安定版10.9%）にとどまり、残る約半数が何らかの陳腐化リスクを抱えていた。
• リスクの内訳は、サポート終了が公式に宣言された「公式EOL」が9.4%、公式宣言はないが実態として保守が停止した「実質的EOL」が4.5%、更新・保守が滞る「開発停滞」が34.6%である。
• この傾向はグローバル調査とも整合する。Synopsys社のOSSRAレポート（2024年）では、分析対象コードベースの49%に過去2年間開発活動がないコンポーネントが含まれていた。
• 脆弱性の約95%は直接依存ではなく推移的依存（依存先がさらに依存するOSS）に起因するとされ、依存関係の複雑化が手動管理を事実上不可能にしている。

OSSの健全性を測る4つの状態

• 活発に活動（40.6%） ― コミットやリリースが継続し、健全に開発が続いているOSS。
• 安定版（10.9%） ― 更新は活発でないが、安定して利用できる状態のOSS。ここまでが健全（計51.5%）。
• 開発停滞（34.6%） ― 公式EOL宣言はないが開発活動が活発でなく、将来の実質的EOLへ移行しうる最大の予備軍。
• 実質的EOL（4.5%） ― 公式宣言はないが、長期間放置され事実上サポートが停止しているOSS。
• 公式EOL（9.4%） ― メーカーによりサポート終了が公式に宣言された、または終了が確定しているOSS。

結論

多くの企業は公式なEOL宣言を頼りにOSSリスクを管理しているが、実際には利用OSSの約半数が公式EOL・実質的EOL・開発停滞という陳腐化リスクを抱えている。公式情報だけを追う手動管理では水面下のリスクを見落とす。CRA等の法規制強化で技術的負債が法的負債へ変わる前に、データ駆動型でOSSの健全性を継続監視するプロアクティブな管理への転換が求められる。

関連資料（FutureVuls Foresightシリーズ）

• Vol.4 金融機関向けフロンティアAI脅威対応 実務ガイド（短期版） ― 金融庁・日本銀行が2026年5月22日に連名発出した要請の9項目を逐条解説し、概ね1ヶ月での至急点検チェックリストを提供する短期版。
• Vol.3 脆弱性管理・対応プロセス年次レポート2025-2026（脱・CVSS依存） ― 国内組織で検知した脆弱性アラート約1,124万件を分析し、CVSS偏重の限界とSSVCによるリスクベース優先順位付けの効果を実データで示す。
• Vol.1 大企業のセキュリティ対策実態調査 ― 大企業（従業員1,000名以上）の情報システム・セキュリティ担当者107名への意識調査。脆弱性管理の「理想と現実」の乖離を定量化。

FutureVuls は、フューチャー株式会社が開発・提供するクラウド型（SaaS）脆弱性管理サービスであり、脆弱性の検知・情報収集・優先順位付け・対応管理を自動化します。

よくあるご質問